Представьте: вы вызвали слесаря вскрыть замок в своей квартире. Он справился, но тайком снял копию ключа. Формально помог, фактически — получил доступ к вашему дому навсегда. Именно так выглядит обвинение против Эдварда Дубровского — канадского эксперта с 30-летним стажем в кибербезопасности, арестованного ФБР в октябре 2026 года.
Человек руководил реагированием на инциденты, преподавал в университете, написал книгу, вёл переговоры с хакерскими группировками от имени жертв. А потом — два обвинения: сговор с целью вымогательства и вмешательство в межштатную коммерцию по Hobbs Act.
Контекст шире, чем кажется. Переговорщик по рансомвеару — человек, который знает всё: какие данные украдены, сколько жертва готова заплатить, где её слабые места. И никакого формального контроля над тем, как он этой информацией распоряжается. Нет стандартизированных протоколов, нет обязательной сертификации, нет единых этических требований. Регуляторный вакуум в чистом виде.
Параллельно с делом Дубровского всплыла группировка ShinyHunters, которая, по данным следствия, скомпрометировала более 140 организаций и получила свыше 70 миллионов долларов вымогательных платежей. Точка входа? Подрядчик, который не установил доступный патч. Один пропущенный апдейт — и в открытом доступе адреса сотрудников ФБР, их телефоны, медицинские данные, сведения о разведывательных заданиях.
🔑Но главный урок тут не про патчи. Он про границы.
Закон не спрашивает о намерениях. В США
CFAA определяет любой несанкционированный доступ как преступление — неважно, нашли ли вы уязвимость «во благо». В России картина не мягче:• Ст. 272 УК РФ — неправомерный доступ, до 7 лет
• Ст. 273 УК РФ — вредоносные программы, до 7 лет
• Ст. 163 УК РФ — вымогательство: нашли уязвимость и требуете деньги за молчание
При этом в России до сих пор нет чёткого определения белого хакинга как легальной деятельности. По опросам, только 39% специалистов оценивают свою правовую защищённость как высокую. Четверо из десяти. Остальные шестеро — надеются, что пронесёт.
👉Что из этого следует для практиков? Без письменного scope-документа и rules of engagement — не трогай систему. Нашёл уязвимость случайно — сообщи через bug bounty или responsible disclosure. Никогда не храни и не используй чужие данные за пределами согласованного периметра.
Дело Дубровского — напоминание, что грань между защитником и преступником тоньше, чем кажется. Подробный разбор с чек-листом для пентестеров — в полной статье.
https://codeby.net/threads/granitsy-belogo-khakinga-arest-eksperta-fbr.95976/